服务器设置 Header响应头（Server、X-Frame-Options、X-Powered-By）

最新推荐文章于 2024-05-23 09:00:00 发布

原创最新推荐文章于 2024-05-23 09:00:00 发布 · 4.6k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#运维 #服务器

运维杂谈同时被 3 个专栏收录

44 篇文章

订阅专栏

tomcat

8 篇文章

订阅专栏

IIS

2 篇文章

订阅专栏

本文详细介绍了如何通过配置IIS和Tomcat隐藏服务器版本信息，添加X-Frame-Options Header以防止点击劫持，以及如何去除X-Powered-By信息，提高服务器安全性。

一、iis7/8隐藏banner信息

进入在【Internet 信息服务(IIS)管理器】-【HTTP 响应头】，添加或删除或修改即可。

隐藏 Server 版本信息，安装UrlScan，打开%WINDIR%\System32\Inetsrv\URLscan，配置URLScan.ini：
```
RemoveServerHeader=0;  改为RemoveServerHeader=1;
```
添加 X-Frame-Options Header
进入在【Internet 信息服务(IIS)管理器】-【HTTP 响应头】，添加如下响应头：
```
名称：X-Frame-Options
值：SAMEORIGIN
```
去除X-Powered-By信息
进入在【Internet 信息服务(IIS)管理器】-【HTTP 响应头】，删除或修改如下响应头：
```
名称：X-Powered-By
值：ni chou sha
```

二、Tomcat,服务器,项目

隐藏 Server 版本信息，修改tomcat/conf/server.xml配置文件即可：

<Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443"    server="Microsoft-IIS/8.5"/>

修改 server="Microsoft-IIS/8.5" 的值就行了，随便写。^_^

添加 X-Frame-Options Header
方式一：修改 tomcat 配置文件

打开Tomcat配置文件（conf\web.xml）搜索 httpHeaderSecurity有两处地方
   
<!--第一处将注释放开-->
   <filter>
        <filter-name>httpHeaderSecurity</filter-name>
            <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
        <async-supported>true</async-supported>
<!--新增内容-->
        <init-param>
            <param-name>antiClickJackingEnabled</param-name>
            <param-value>true</param-value>
        </init-param>
        <init-param>
            <param-name>antiClickJackingOption</param-name>
            <param-value>SAMEORIGIN</param-value>
        </init-param>
    </filter>
<!--第二处-->
    <filter-mapping>
        <filter-name>httpHeaderSecurity</filter-name>
        <url-pattern>/*</url-pattern>
        <dispatcher>REQUEST</dispatcher>
    </filter-mapping>

方式二：在项目过滤器中添加Header

	@Override
	public void doFilter(ServletRequest request, ServletResponse response)
			throws IOException, ServletException {
		HttpServletResponse resp = (HttpServletResponse) response;
		resp.setHeader("x-frame-options","x-frame-options");
	}

方式三：在jsp的公共页面添加java代码。（其实跟第二种一样）

<%
response.setHeader("x-frame-options","x-frame-options");
%>

去除X-Powered-By信息，待补充